CVE 데이터베이스CVE-2021-40407

최종 갱신 2026-06-17English Advisory →

CVE-2021-404077.2/HIGHCISA KEV 등재CWE-78CWE-78

Reolink RLC-410W IP 카메라 SetDdns API OS 명령 주입 취약점 (CVE-2021-40407) 분석 및 대응 가이드

⚡ 패치 명령어 바로가기

영향받는 벤더 / 생태계

reolink

대상 컴포넌트 / 패키지

rlc-410w

권고문 발행일

2022-01-28

CVSS v3.1

7.2

HIGH

30일 악용확률

47.6%

FIRST.org

CISA KEV

악용 확인됨

NVD 원문 ↗

실무자 핵심 요약 (Executive Summary)

SECOPS ASSESSMENT

영향 대상

Reolink RLC-410W 스마트 IP 카메라 펌웨어 v3.0.0.136_20121102 및 이전 버전

파급 효과

관리자 권한을 획득한 공격자가 조작된 HTTP 요청을 전송하여 대상 장비에서 임의의 OS 명령을 실행하고 시스템을 완전히 장악할 수 있음

권장 조치

제조사 공식 최신 안전 펌웨어로 즉시 업데이트하고, 카메라 관리 인터페이스에 대한 외부 노출을 차단하십시오

영향받는 제품 및 버전 범위

Reolink RLC-410W 스마트 IP 카메라 펌웨어 버전 v3.0.0.136_20121102 및 이하 버전

권장 패치 및 임시 완화(Workaround) 가이드

패치 및 우회 명령어

1. 공식 보안 패치 및 버전 업그레이드 명령어

Reolink 공식 다운로드 센터에서 제공하는 최신 안전 펌웨어 버전을 다운로드하여 수동 업그레이드를 진행해야 합니다. 아래는 펌웨어 업그레이드 후 장비의 버전을 CLI 환경에서 확인하는 예시 스크립트입니다.

bash

# Reolink API를 사용하여 현재 장비의 시스템 정보 및 펌웨어 버전 확인
curl -s -k -X POST -d '[{"cmd":"GetAbility","action":0,"param":{}}]' \
  'https://<CAMERA_IP>/cgi-bin/api.cgi?user=admin&password=<PASSWORD>' \
  | grep -i 'firmware'

2. 패치 전 임시 완화(Workaround) 및 접근 제어 설정

패치 적용이 불가능한 환경에서는 외부 인터넷으로부터 카메라 관리 포트(HTTP/HTTPS, RTSP 등)로의 접근을 원천 차단해야 합니다. 아래는 리눅스 기반 방화벽(iptables)을 사용하여 특정 신뢰할 수 있는 관리자 IP 대역에서만 카메라 웹 포트에 접근할 수 있도록 제한하는 설정 예시입니다.

bash

# 기본적으로 모든 외부 IP로부터의 카메라 웹 포트(80, 443) 접근 차단
iptables -A INPUT -p tcp --dport 80 -j DROP
iptables -A INPUT -p tcp --dport 443 -j DROP

# 신뢰할 수 있는 관리자 서브넷(예: 192.168.1.0/24)에 대해서만 접근 허용
iptables -I INPUT -s 192.168.1.0/24 -p tcp --dport 80 -j ACCEPT
iptables -I INPUT -s 192.168.1.0/24 -p tcp --dport 443 -j ACCEPT

3. 침해 흔적(IoC) 및 로그·버전 점검 스크립트

네트워크 트래픽 상에서 SetDdns API 호출 시 비정상적인 특수문자가 포함되어 있는지 모니터링해야 합니다. 아래는 웹 서버 액세스 로그에서 악성 페이로드가 포함된 요청을 탐지하는 간단한 정규식 기반 점검 스크립트입니다.

bash

# 웹 서버 로그에서 SetDdns 호출 및 셸 메타문자(; , &, |, `)가 포함된 의심스러운 요청 검색
grep -E 'SetDdns' /var/log/nginx/access.log | grep -E '(%3B|%26|%7C|%60|;|\&|\||`)'

실무자 패치 대응 자가 점검 체크리스트

0/4 (0%)

권장 아키텍처 방어 통제 (Recommended Security Control)

SentinelOne Singularity AI EDR

CISA KEV에 등재된 활성 위협이므로, Reolink RLC-410W 장비의 외부 노출을 즉시 차단하고 최신 안전 펌웨어로 업그레이드하십시오.

패치 재부팅 전까지 서버와 엔드포인트를 노리는 커널 권한 상승(LPE) 공격을 AI 행위 탐지로 차단하세요

Windows 및 Linux 서버의 긴급 OS 패치에는 점검 창(Maintenance Window)이 필요합니다. 패치 전까지 비정상 프로세스 생성과 메모리 악용을 실시간으로 격리하세요.

MITRE ATT&CK 100% 탐지 · 1클릭 자동 롤백

차세대 AI EDR 솔루션 상세 보기

취약점 발생 원리 및 공격 메커니즘

1. 취약점 개요 및 발생 원인 (Root Cause)

본 취약점(CVE-2021-40407)은 Reolink RLC-410W IP 카메라의 네트워크 설정 기능 내 DDNS(Dynamic DNS) 처리 로직에서 발생하는 OS 명령 주입(OS Command Injection) 취약점입니다. SetDdns API를 통해 전달되는 domain 파라미터 값이 내부 ddns->domain 변수에 저장되는 과정에서, 입력값에 대한 적절한 검증 및 필터링이 수행되지 않아 발생합니다. 시스템 내부에서 해당 변수를 셸 명령어로 실행하는 과정에서 공격자가 삽입한 악성 메타문자가 그대로 실행됩니다.

2. 공격 메커니즘 및 익스플로잇 시나리오

공격자는 먼저 대상 IP 카메라의 웹 관리 인터페이스 또는 API 엔드포인트에 대한 인증 세션을 획득해야 합니다. 인증된 공격자는 SetDdns API를 호출하는 특수하게 조작된 HTTP POST 요청을 전송합니다. 이때 domain 필드에 세미콜론(;), 앰퍼샌드(&), 또는 백틱(` `)과 같은 셸 메타문자와 함께 실행하고자 하는 임의의 리눅스 명령어를 삽입합니다. 장비 내부의 웹 서버는 이 입력을 검증 없이 시스템 셸(sh 또는 bash`)로 전달하여 실행하므로, 공격자는 카메라 내부 OS의 루트 권한으로 명령을 실행할 수 있게 됩니다.

3. 비즈니스 및 인프라 파급 영향

본 취약점은 CVSS 7.2(High)로 평가되었으며, CISA의 악용 취약점 카탈로그(KEV)에 등재되어 실제 공격에 활용된 이력이 확인되었습니다. 성공적으로 익스플로잇될 경우, 공격자는 IP 카메라의 비디오 스트림을 무단으로 탈취하거나 조작할 수 있으며, 장비를 봇넷(Botnet)의 일부로 편입시켜 DDoS 공격의 경유지로 악용할 수 있습니다. 또한, 내부 네트워크로 침투하기 위한 교두보(Pivot Point)로 활용될 수 있어 기업 및 개인 인프라에 심각한 보안 위협을 초래합니다.

공식 보안 권고문 및 참조 링크

NIST NVD 공식 영문 원문 (Original Record)

An OS command injection vulnerability exists in the device network settings functionality of reolink RLC-410W v3.0.0.136_20121102. At [1] or [2], based on DDNS type, the ddns->domain variable, that has the value of the domain parameter provided through the SetDdns API, is not validated properly. This would lead to an OS command injection. An attacker can send an HTTP request to trigger this vulnerability.

https://talosintelligence.com/vulnerability_reports/TALOS-2021-1424

출처: talos-cna@cisco.com · Exploit, Third Party Advisory

https://talosintelligence.com/vulnerability_reports/TALOS-2021-1424

출처: af854a3a-2127-422b-91ae-364da2661108 · Exploit, Third Party Advisory

https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-40407

출처: 134c704f-9b21-4f2e-91b3-4a467353bcc0 · US Government Resource